La inteligencia artificial está transformando el riesgo cibernético. Los consejos de administración deben gestionar esta amenaza.

Este artículo ha sido elaborado por Working Knowledge de la Harvard Business School y recoge las reflexiones del profesor Hise O. Gibson. En la actualidad, una filtración de datos relacionada con la IA cuesta a las organizaciones una media de 4,88 millones de dólares; una cifra que no tiene en cuenta el daño a la reputación, las sanciones normativas ni los fallos operativos en cadena que se producen a raíz de ello. Sin embargo, la filtración en sí misma ya no es el mayor riesgo. El mayor riesgo son los líderes que no lo vieron venir. Imagínese lo siguiente: un vídeo viral se difunde rápidamente por las redes sociales, en el que se ve a un expresidente declarando el estado de emergencia nacional. La voz es perfecta. El escenario parece auténtico. El mensaje es urgente. Pero todo es mentira. Para cuando alguien se da cuenta de que se trata de un deepfake, los mercados se han desplomado, las alianzas mundiales han cambiado y la confianza pública en los cimientos mismos del gobierno se ha hecho añicos. No se trata de una amenaza lejana; ya está aquí. En 2022, circuló ampliamente por Internet un convincente vídeo generado por inteligencia artificial en el que, supuestamente, el presidente ucraniano Volodymyr Zelensky ordenaba a sus tropas que se rindieran, a pesar de que las autoridades ucranianas lo denunciaron de inmediato como un montaje. Suscríbase al boletín de Working Knowledge para recibir cada semana en su bandeja de entrada sus análisis de investigación. La tecnología necesaria para crear estos vídeos solía requerir presupuestos de Hollywood, pero ahora funciona en ordenadores portátiles comunes, lo que significa que las amenazas no solo se producen con mayor rapidez, sino que también tienen más probabilidades de engañar a un amplio sector de espectadores. La IA no solo está acelerando los ataques; está haciendo que el mundo sea radicalmente menos predecible, más difícil de comprender y exponencialmente más peligroso. Las consecuencias para las organizaciones son devastadoras, y la mayoría de los líderes empresariales no están preparados. Aumentan los ciberataques basados en la IA Los ciberataques contra software y aplicaciones de sistemas de uso público aumentaron un 44 % en solo un año, y muchos de esos ataques se debieron a vulnerabilidades relacionadas con la IA, según reveló un estudio de IBM de 2026. Estos ataques aprenden, se adaptan y evolucionan en tiempo real. Ponen a prueba las defensas, detectan fallos y modifican sus estrategias, todo ello sin intervención humana. Por otra parte, según el informe «State of Cybersecurity Resilience 2025» de Accenture, el 77 % de las organizaciones carece de los datos básicos y las prácticas de seguridad en materia de inteligencia artificial necesarios para proteger la infraestructura tecnológica crítica. Esta brecha entre la rapidez con la que pueden surgir las amenazas y el grado de preparación de las organizaciones para gestionarlas constituye una de las mayores debilidades estratégicas de nuestro tiempo. La cuestión no es si su empresa será atacada por la IA. La verdadera pregunta es si los líderes están preparados para actuar cuando eso ocurra. Por qué es necesario un nuevo marco. Los líderes llevan mucho tiempo utilizando el marco VUCA (volátil, incierto, complejo y ambiguo) para referirse a situaciones empresariales difíciles, pero este marco ya no describe lo que nos encontramos en el mundo de la IA y la ciberseguridad. Ahora nos encontramos en un entorno BANI (frágil, ansioso, no lineal e incomprensible), lo que exige un tipo de respuesta de liderazgo muy diferente. VUCA aconsejaba a los líderes que se prepararan. BANI les indica que la preparación por sí sola puede no ser suficiente, ya que las amenazas ya no siguen patrones predecibles, se intensifican a velocidad humana ni se anuncian con antelación. A continuación, analizamos más detenidamente el panorama: Fragilidad: Nuestros sistemas parecen sólidos, pero pueden fallar de forma catastrófica cuando se ven sometidos a una presión intensa. Un único punto de fallo puede causar problemas a toda una organización en tan solo unos minutos. En junio de 2017, por ejemplo, el malware NotPetya se propagó rápidamente por la red de TNT Express, dejando fuera de servicio 40 000 ordenadores y 10 000 servidores en menos de 40 minutos y paralizando las operaciones globales de la empresa. Ansiedad: Los líderes suelen tener dificultades para tomar decisiones porque tienen demasiadas opciones, información insuficiente y resultados difíciles de predecir. La necesidad de actuar con rapidez y la necesidad de actuar con prudencia entran en conflicto. Muchos ejecutivos se bloquean o, lo que es peor, delegan en otras personas las decisiones que deberían tomar ellos mismos. No lineal: Los modelos de riesgo tradicionales asumen que los grandes problemas tienen grandes señales de advertencia, un principio conocido como proporcionalidad. Pero con los ataques basados en IA, los pequeños problemas pueden tener grandes efectos; una sola contraseña robada o un pequeño error de configuración pueden causar daños en toda la empresa. Incomprensible: La lógica de toma de decisiones de los sistemas de IA que utilizamos es difícil de explicar, y estamos intentando defendernos de los ataques de IA utilizando métodos que son difíciles de comprender. La naturaleza de «caja negra» de la IA moderna dificulta que las estructuras de gobernanza tradicionales puedan hacer frente a los riesgos que plantea. Cómo afrontar los retos de la IA Los líderes se enfrentan a una serie de problemas relacionados con la IA que resultan difíciles de gestionar: queremos que la IA sea rápida, pero no descuidada. Queremos que sea potente, pero no débil. Necesitamos ampliar su uso en toda la empresa, pero de una manera segura y ética. Cada función que permite la IA también puede dar lugar a un ataque. Cada ganancia en eficiencia también hace que una empresa dependa de esta tecnología. Cada decisión tomada por una máquina también plantea la cuestión de quién es el responsable. Los líderes que gestionan bien esta situación no pueden eliminar por completo estas tensiones; eso es imposible. Pero serán ellos quienes creen organizaciones capaces de funcionar bien a pesar de los retos. Una guía para líderes. Para sobrevivir en un mundo frágil, lleno de inquietudes, no lineal y difícil de comprender, necesitamos algo más que una tecnología mejor. Necesitamos un nuevo enfoque del liderazgo. He creado un marco denominado ACTS porque pasar a la acción es el primer paso para prosperar. Los líderes deben: Asumir que una brecha de seguridad es inevitable. En lo que respecta a la ciberseguridad, lo peor que se puede hacer es bajar la guardia y creer que las defensas funcionan. Toda empresa debe planificar teniendo en cuenta que siempre habrá algún nivel de vulnerabilidad. Esto implica utilizar arquitecturas de confianza cero, dividir las redes para limitar los daños, mantener copias de seguridad manuales para tareas críticas y practicar regularmente escenarios de crisis. FedEx fue capaz de hacer frente al ataque de NotPetya y sufrió menos pérdidas que otras empresas porque la organización se había preparado precisamente para esta eventualidad. Sus directivos, muchos de los cuales contaban con formación militar, mantuvieron la calma y tomaron decisiones acertadas incluso cuando la situación se complicó. Estaban preparados con soluciones manuales alternativas. Por otro lado, en septiembre de 2023, MGM Resorts International sufrió un ataque de ransomware que paralizó las salas de juego, las reservas hoteleras y las llaves digitales de las habitaciones en varios de sus establecimientos. El ataque comenzó con una llamada telefónica de 10 minutos de alguien que se hacía pasar por un empleado de MGM. En cuestión de días, MGM había perdido unos ingresos estimados de 100 millones de dólares y se enfrentó a semanas de disrupción operativa, no porque su tecnología fallara, sino porque sus líderes no se habían preparado para el momento en que la tecnología dejara de estar disponible. Fomente la fluidez en materia de IA en todos los niveles de liderazgo. El dominio de la IA ya no puede limitarse únicamente al departamento de IT. Todos los directivos de la empresa deben saber cómo funcionan los sistemas de IA, dónde aportan valor y dónde plantean riesgos. Los directivos no solo deben aprender a utilizar la IA, sino que también deben desarrollar programas de tutoría inversa en los que los empleados más jóvenes, que a menudo tienen mejores conocimientos de IA, enseñen a los altos directivos. Además, deben contratar a personas con capacidad de adaptación y ganas de aprender, y no solo a personas con las habilidades adecuadas. Vincule toda inversión en IA a las operaciones principales. Muchas empresas llevan a cabo proyectos piloto de IA que no se pueden escalar, o crean demostraciones impresionantes que no tienen repercusiones a largo plazo. Esto debe acabar. Cada proyecto de IA debe contar con marcos claros de retorno de la inversión, satisfacer necesidades empresariales reales y estar vinculado a resultados medibles. Reforzar la gobernanza. Las empresas deben elaborar directrices éticas y crear consejos de gobernanza de la IA que incluyan a representantes de varios departamentos de la empresa, no solo del departamento de IT. Estos grupos deben evaluar periódicamente la imparcialidad y la presencia de sesgos. Además, los responsables de la toma de decisiones deben actuar con transparencia en cuanto a quién es responsable de los problemas relacionados con la IA cuando las cosas salen mal, antes de que se produzca la infracción, no después. Cuatro preguntas para su próxima reunión de la junta directiva. Utilice estas cuatro preguntas como diagnóstico de preparación antes de su próxima reunión de la junta directiva. ¿Podría su empresa seguir funcionando durante 48 horas sin sistemas digitales? ¿Dispone de procesos manuales para seguir atendiendo a los clientes y llevando a cabo tareas críticas en caso de que un ataque grave dejara inoperativa su infraestructura? ¿Han completado sus principales directivos la formación necesaria en materia de seguridad y ética de la IA? No debería tratarse simplementede un seminario web que hayan visto de pasada, sino de clases reales sobre cómo funcionan estos sistemas y dónde pueden fallar. ¿Se basa su plan de implementación de IA en la resiliencia empresarial, en lugar de solo en el crecimiento? ¿Los sistemas que está desarrollando lehacen más fuerte o más débil cuando las cosas se ponen difíciles? ¿Puede su personal seguir tomando buenas decisiones cuando no se dispone de datos? Si los paneles de control dejan de funcionar de repente y los modelos no están disponibles, ¿cuenta su equipo directivo con las habilidades y los procesos necesarios para tomar decisiones basadas en la experiencia? Si no puede responder afirmativamente a todas estas preguntas, ahora es el momento de ACTUAR. Los líderes que consideran la seguridad de la IA como una obligación fiduciaria, y no como un concepto (line item) de IT, serán los que sigan en pie cuando se produzca el próximo ataque. Y ese ataque llegará. La única pregunta es si está preparado para ACTUAR.

La inteligencia artificial está transformando el riesgo cibernético. Los consejos de administración deben gestionar esta amenaza.

Resumen.

Partner Center